個人情報の保護に関する法律（こじんじょうほうのほごにかんするほうりつ）

他の個人情報取扱事業者又は行政機関等から個人情報の取扱いの全部又は一部の委託（二以上の段階にわたる委託を含む。）を受けた個人情報取扱事業者は、法令に基づく場合等を除くほか、その取扱いを委託された個人情報（当該個人情報取扱事業者において個人関連情報となるものを除く。）を、当該委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない。

個人関連情報取扱事業者は、第三者が個人関連情報（個人関連情報データベース等を構成するものに限る。以下この章及び第六章項及び次項において同じ。）を個人データとして取得することが想定されるときは、第二十七条第一項各号に掲げる場合を除くほか、次に掲げる事項について、あらかじめ個人情報保護委員会規則で定めるところにより確認することをしないで、当該個人関連情報を当該第三者に提供してはならない。

前第三十条第二項から第四項までの規定は、第一項の規定により個人関連情報取扱事業者が確認する場合について準用する。この場合において、同条第三項中「の提供を受けた」とあるのは、「を提供した」と読み替えるものとする。

個人関連情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により連絡可能個人関連情報を利用してはならない。

個人関連情報取扱事業者は、偽りその他不正の手段により連絡可能個人関連情報を取得してはならない。

個人関連情報取扱事業者は、第三者が個人関連情報を統計作成等目的で取り扱う必要がある場合（当該個人関連情報を取り扱う目的の全部が統計作成等目的である場合に限る。）であって、次の各号のいずれにも該当するときは、第三十一条第一項（第一号に係る部分に限る。）の規定にかかわらず、同項第一号に掲げる事項について確認することをしないで当該個人関連情報を当該第三者に提供することができる。ただし、当該個人関連情報が個人情報取扱事業者又は他の個人関連情報取扱事業者から第三十条の二第五項本文又はこの項本文の規定により提供されたもの（その全部又は一部を複製し、又は加工したものを含む。）である場合は、この限りでない。

当該個人関連情報取扱事業者及び当該第三者が、インターネットの利用その他の個人情報保護委員会規則で定める方法により、当該個人関連情報取扱事業者及び当該第三者の氏名又は名称、行おうとする統計作成等の内容その他個人情報保護委員会規則で定める事項を公表していること。

当該第三者との間の書面（電磁的記録を含む。）による合意により、当該提供がこの項本文の規定によるものである旨が明確に定められていること。

前項本文の規定により個人関連情報の提供を受け個人データとして取得した第三者（個人情報取扱事業者である者に限る。以下この条及び第七十二条の三第九項第一号において「特例個人関連情報受領者」という。）は、前項第一号の個人情報保護委員会規則で定める方法により、当該個人関連情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報（以下「提供統計作成等用個人データ等」という。）を取り扱っている期間、同号に規定する事項（当該事項を次項本文の規定により変更した場合又は第四項の場合にあっては、変更後の当該事項）を継続して公表しなければならない。

特例個人関連情報受領者は、第一項第一号の個人情報保護委員会規則で定める方法により当該特例個人関連情報受領者及び同項本文の規定により当該特例個人関連情報受領者に対する個人関連情報の提供を行った個人関連情報取扱事業者の双方が前項の規定により公表されている事項を変更する旨及び当該変更の内容をあらかじめ公表する場合に限り、当該事項を変更することができる。ただし、当該特例個人関連情報受領者の氏名又は名称その他個人情報保護委員会規則で定める事項を変更するときは、この限りでない。

前項ただし書の場合においては、特例個人関連情報受領者は、当該変更をした後、速やかに、第一項第一号の個人情報保護委員会規則で定める方法により当該変更をした旨及び当該変更の内容を公表しなければならない。

提供統計作成等用個人データ等を取り扱う個人情報取扱事業者は、第十八条の規定にかかわらず、法令に基づく場合等を除くほか、当該提供統計作成等用個人データ等を、次の各号に掲げる場合の区分に応じて、当該各号に定める統計作成等を行うために必要な範囲を超えて取り扱ってはならない。

当該提供統計作成等用個人データ等に係る第一項本文の規定による提供が特例個人関連情報受領者に対して行われたものである場合　当該特例個人関連情報受領者が第二項の規定により公表している内容の統計作成等

当該提供統計作成等用個人データ等に係る第一項本文の規定による提供が行政機関の長等に対して行われたものである場合　当該行政機関の長等が第七十二条の三第六項の規定により公表している内容の統計作成等

提供統計作成等用個人データ等を取り扱う個人情報取扱事業者は、第二十七条第一項及び第二項並びに第二十八条第一項の規定にかかわらず、法令に基づく場合等を除くほか、当該提供統計作成等用個人データ等である個人データを第三者に提供してはならない。この場合において、第二十七条第五項中「は、前各項」とあるのは「（個人情報取扱事業者又は第六十三条に規定する行政機関の長等（これらの者が次条第一項に規定する外国にある者である場合にあっては、第三十条の二第五項に規定する基準適合体制を整備している者に限る。）である者に限る。）は、第三十一条の三第六項」と、同項第三号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第六項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第二十九条第一項ただし書中「同条第一項各号又は第五項各号のいずれか（前条第一項の規定による個人データの提供にあっては、第二十七条第一項各号のいずれか）」とあるのは「第三十条の二第四項に規定する法令に基づく場合等又は第二十七条第五項各号のいずれか」と、第三十条第一項ただし書中「第二十七条第一項各号又は第五項各号のいずれか」とあるのは「次条第四項に規定する法令に基づく場合等又は第二十七条第五項各号のいずれか」とする。

提供統計作成等用個人データ等を取り扱う個人情報取扱事業者は、第三十一条第一項の規定にかかわらず、法令に基づく場合等を除くほか、当該提供統計作成等用個人データ等（個人データであるものを除く。次項において同じ。）を第三者に提供してはならない。

第二十七条第五項及び第六項の規定は、提供統計作成等用個人データ等の提供を受ける者（個人情報取扱事業者又は行政機関の長等である者に限る。）について準用する。この場合において、同条第五項中「前各項」とあるのは「第三十一条の三第七項」と、同項第三号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第六項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。

第一項本文の規定により個人関連情報を基準適合体制を整備している外国にある第三者に提供した個人関連情報取扱事業者又は提供統計作成等用個人データ等を当該第三者に提供した個人情報取扱事業者は、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、当該必要な措置に関する情報を公表しなければならない。この場合においては、第二十八条第三項の規定は、適用しない。

第二十三条から第二十五条までの規定は個人情報取扱事業者による提供統計作成等用個人データ等（個人データであるものを除く。）の取扱いについて、第二十九条第一項本文及び第二項の規定は第一項本文の規定により個人関連情報取扱事業者が個人関連情報を特例個人関連情報受領者に提供する場合について、それぞれ準用する。この場合において、第二十三条中「漏えい、滅失又は毀損」とあるのは、「漏えい」と読み替えるものとする。

次項の規定による求め又は次条第一項（同条第五項において準用する場合を含む。）、第三十四条第一項若しくは第三十五第三十七条第一項、第三項若しくは第五項の規定による請求に規定する開示等の請求等に応じる手続（第三十八条第二一項の規定により手数料の額を定めたときを徴収する場合は、その手数料の額を含む。）

個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、同項の規定により当該本人が請求した方法（当該方法による開示に多額の費用を要する場合ことその他の事情により当該方法による開示が困難である場合にあっては、書面の交付による方法）により、遅滞なく、当該保有個人データを開示しなければならない。ただし、開示することにより次の各号のいずれかに該当する場合は、その全部又は一部を開示しないことができる。

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第十八条、第十九条、第三十条の二第四項若しくは第十九条九項、第三十条の三若しくは第三十一条の三第五項の規定に違反して取り扱われているとき、又は第二十条の規定に違反して取得されたものであるときは、当該保有個人データの利用の停止又は消去（以下この条において「利用停止等」という。）を請求することができる。

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、違反を是正するために必要な限度で、遅滞なく、当該保有個人データの利用停止等を行わなければならない。ただし、当該保有個人データの利用停止等に多額の費用を要する場合ことその他の事情により利用停止等を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが第二十七条第一項又は、第二十八条、第三十条の二第十項又は第三十一条の三第六項の規定に違反して第三者に提供されているときは、当該保有個人データの第三者への提供の停止を請求することができる。

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの第三者への提供を停止しなければならない。ただし、当該保有個人データの第三者への提供の停止に多額の費用を要する場合ことその他の事情により第三者への提供を停止することが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、本人の権利利益の侵害を防止するために必要な限度で、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要する場合ことその他の事情により利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

本人は、個人情報取扱事業者は、第一項若しくは第五項の規定による請求に係るに対し、当該本人が識別される特定生体個人情報（保有個人データの全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第三項若しくは第五項の規定による請求に係る保有個人データの全部若しくは一部について第三者への提供を停止したとき若しくに含まれるものに限る。）が取り扱われているときは、次に掲げる場合を除き、当該特定生体個人情報の利用停止等又は第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならないの停止を請求することができる。

当該個人情報取扱事業者があらかじめ当該本人の同意を得て当該特定生体個人情報に含まれる特定生体個人識別符号を作成した場合

当該個人情報取扱事業者があらかじめ当該本人の同意を得て当該特定生体個人情報を取得した場合

当該個人情報取扱事業者が法令に基づいて当該特定生体個人情報を取り扱う場合

当該個人情報取扱事業者が人の生命、身体又は財産の保護のために当該特定生体個人情報を取り扱う必要がある場合

当該個人情報取扱事業者が公衆衛生の向上又は児童の健全な育成の推進のために当該特定生体個人情報を取り扱うことが特に必要である場合

当該個人情報取扱事業者が国の機関若しくは地方公共団体又はその委託を受けた者による法令の定める事務の遂行に対して協力するために当該特定生体個人情報を取り扱う必要がある場合

当該個人情報取扱事業者が学術研究機関等である場合であって、当該特定生体個人情報を学術研究目的で取り扱う必要があるとき（当該特定生体個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

学術研究機関等と共同して学術研究を行う当該個人情報取扱事業者が当該学術研究機関等から当該特定生体個人情報を取得した場合又は学術研究機関等と共同して学術研究を行う当該個人情報取扱事業者が当該学術研究機関等から取得した情報を変換して作成した特定生体個人識別符号が当該特定生体個人情報に含まれる場合であって、当該特定生体個人情報を学術研究目的で取り扱う必要があるとき（当該特定生体個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

当該個人情報取扱事業者が当該特定生体個人情報を取り扱うことが当該本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人情報取扱事業者が当該特定生体個人情報を取り扱うことが当該特定生体個人情報に含まれる特定生体個人識別符号の作成の状況又は当該特定生体個人情報の取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合

その他前各号に掲げる場合に準ずるものとして政令で定める場合

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該特定生体個人情報の利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該特定生体個人情報の利用停止等又は第三者への提供の停止に多額の費用を要することその他の事情により利用停止等又は第三者への提供の停止を行うことが困難な場合であって、本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

十六歳未満の本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データが取り扱われているときは、次に掲げる場合を除き、当該保有個人データの利用停止等又は第三者への提供の停止を請求することができる。

当該個人情報取扱事業者があらかじめ当該本人の法定代理人の同意を得て当該保有個人データを取得した場合

当該個人情報取扱事業者が法令に基づいて当該保有個人データを取り扱う場合

当該個人情報取扱事業者が人の生命、身体又は財産の保護のために当該保有個人データを取り扱う必要がある場合

当該個人情報取扱事業者が公衆衛生の向上又は児童の健全な育成の推進のために当該保有個人データを取り扱うことが特に必要である場合

当該個人情報取扱事業者が国の機関若しくは地方公共団体又はその委託を受けた者による法令の定める事務の遂行に対して協力するために当該保有個人データを取り扱う必要がある場合

当該個人情報取扱事業者が学術研究機関等である場合であって、当該保有個人データを学術研究目的で取り扱う必要があるとき（当該保有個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

学術研究機関等と共同して学術研究を行う当該個人情報取扱事業者が当該学術研究機関等から当該保有個人データを取得した場合であって、当該保有個人データを学術研究目的で取り扱う必要があるとき（当該保有個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

当該個人情報取扱事業者が当該保有個人データを取り扱うことが当該本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人情報取扱事業者が当該保有個人データを取り扱うことが当該保有個人データの取得の状況からみて十六歳未満の本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合

当該保有個人データが、当該個人情報取扱事業者が当該保有個人データを取得した時点において、当該本人の法定代理人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されていたものである場合

当該本人の法定代理人が当該本人の営業を許可していた場合であって、当該個人情報取扱事業者が当該営業に関して当該保有個人データを取得したとき。

当該本人が、当該個人情報取扱事業者に対し自らが十六歳以上であることを信じさせるために詐術を用いていた場合

その他前各号に掲げる場合に準ずるものとして政令で定める場合

個人情報取扱事業者は、前項の規定による請求を受けた場合であって、その請求に理由があることが判明したときは、遅滞なく、当該保有個人データの利用停止等又は第三者への提供の停止を行わなければならない。ただし、当該保有個人データの利用停止等又は第三者への提供の停止に多額の費用を要することその他の事情により利用停止等又は第三者への提供の停止を行うことが困難な場合であって、十六歳未満の本人の権利利益を保護するため必要なこれに代わるべき措置をとるときは、この限りでない。

個人情報取扱事業者は、第一項、第五項、第七項若しくは第九項の規定による請求に係る保有個人データ若しくは特定生体個人情報の全部若しくは一部について利用停止等を行ったとき若しくは利用停止等を行わない旨の決定をしたとき、又は第三項、第五項、第七項若しくは第九項の規定による請求に係る保有個人データ若しくは特定生体個人情報の全部若しくは一部について第三者への提供を停止したとき若しくは第三者への提供を停止しない旨の決定をしたときは、本人に対し、遅滞なく、その旨を通知しなければならない。

個人情報取扱事業者は、第三十二条第三項、第三十三条第三項（同条第五項において準用する場合を含む。）、第三十四条第三項又は前条第七十一項の規定により、本人から求められ、又は請求された措置の全部又は一部について、その措置をとらない旨を通知する場合又はその措置と異なる措置をとる旨を通知する場合には、本人に対し、その理由を説明するよう努めなければならない。

個人情報取扱事業者は、第三十二条第二項の規定による求め又は第三十三条第一項（同条第五項において準用する場合を含む。次条第一項及び第三十九条において同じ。）、第三十四条第一項若しくは第三十五条第一項、第三項、第五項、第七項若しくは第五九項の規定による請求（以下この条及び第五十四条第一項章において「開示等の請求等」という。）に関し、政令で定めるところにより、その求め又は請求を受け付ける方法を定めることができる。この場合において、本人は、当該方法に従って、開示等の請求等を行わなければならない。

個人情報取扱事業者は、本人に対し、開示等の請求等に関し、その対象となる保有個人データ若しくは特定生体個人情報又は第三者提供記録を特定するに足りる事項の提示を求めることができる。この場合において、個人情報取扱事業者は、本人が容易かつ的確に開示等の請求等をすることができるよう、当該保有個人データ若しくは特定生体個人情報又は当該第三者提供記録の特定に資する情報の提供その他本人の利便を考慮した適切な措置をとらなければならない。

開示等の請求等は、未成年者若しくは成年被後見人の法定代理人又は本人の委任による代理人その他政令で定めるところにより、代理人によっては、本人に代わって開示等の請求等をすることができる。

本人は、第三十三条第一項、第三十四条第一項又は第三十五条第一項、第三項、第五項、第七項若しくは第五九項の規定による請求に係る訴えを提起しようとするときは、その訴えの被告となるべき者に対し、あらかじめ、当該請求を行い、かつ、その到達した日から二週間を経過した後でなければ、その訴えを提起することができない。ただし、当該訴えの被告となるべき者がその請求を拒んだときは、この限りでない。

前二項の規定は、第三十三条第一項、第三十四条第一項又は第三十五条第一項、第三項、第五項、第七項若しくは第五九項の規定による請求に係る仮処分命令の申立てについて準用する。

個人情報取扱事業者は、個人情報、統計作成等用要配慮個人情報等、提供統計作成等用個人情報等及び提供統計作成等用個人データ等の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。

個人情報取扱事業者が十六歳未満の者の個人情報を取り扱う場合（次に掲げる場合を除く。）における当該個人情報についての第十八条、第二十条第二項、第二十一条、第二十一条の二第一項、第二十六条第二項、第二十七条、第二十八条、第三十条の二第一項及び第五項、第三十二条第一項並びに第三十五条第七項の規定の適用については、これらの規定（第十八条第三項第七号、第二十条第二項第七号、第二十一条第二項及び第四項第一号、第二十六条第二項ただし書、第二十七条第一項第八号及び第二項、第二十八条第三項並びに第三十五条第七項各号列記以外の部分及び第九号の規定を除く。）中「本人」とあるのは「本人の法定代理人」と、第十八条第三項第七号、第二十条第二項第七号、第二十七条第一項第八号及び第三十五条第七項第九号中「本人の意思に反しないため本人」とあるのは「本人」と、第二十一条第二項及び第四項第一号中「本人に」とあるのは「本人の法定代理人に」と、第二十六条第二項ただし書中「本人へ」とあるのは「本人の法定代理人へ」と、第二十七条第二項中「本人の」とあるのは「本人又はその法定代理人の」と、「本人に」とあるのは「本人の法定代理人に」と、「又は本人」とあるのは「又は本人の法定代理人」と、第二十八条第三項中「本人」とあるのは「本人又はその法定代理人」とする。

当該個人情報取扱事業者が、当該個人情報が十六歳未満の者のものであることを知らないことについて正当な理由がある場合

本人の法定代理人が当該本人の営業を許可していた場合であって、当該個人情報取扱事業者が当該営業に関して当該個人情報を取得したとき。

本人に法定代理人がない場合又は当該個人情報取扱事業者が本人に法定代理人がないと信ずるに足りる相当な理由がある場合

個人関連情報取扱事業者が十六歳未満の者に関する個人関連情報を取り扱う場合（次に掲げる場合を除く。）における当該個人関連情報についての第三十一条第一項の規定の適用については、同項第一号中「本人の」とあるのは「本人の法定代理人の」と、同項第二号中「本人」とあるのは「本人の法定代理人」とする。

当該個人関連情報取扱事業者が、当該個人関連情報が十六歳未満の者に関するものであることを知らないことについて正当な理由がある場合

当該個人関連情報に係る者の法定代理人が当該者の営業を許可していた場合であって、当該個人関連情報取扱事業者が当該営業に関して当該個人関連情報を取得したとき。

当該個人関連情報に係る者に法定代理人がない場合又は当該個人関連情報取扱事業者が当該個人関連情報に係る者に法定代理人がないと信ずるに足りる相当な理由がある場合

個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章（次条第三項及び第六章四項、第五十四条第一項並びに第五十八条第二項を除く。）において同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。

仮名加工情報についての第二十一条及び前条第一項の規定の適用については、同第二十一条第一項及び第三項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第四項第一号から第三号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」と、前条第一項中「第二十条第二項、第二十一条」とあるのは「第二十条第二項」と、「第二十条第二項第七号、第二十一条第二項及び第四項第一号」とあるのは「第二十条第二項第七号」と、「本人」と、第二十一条第二項及び第四項第一号中「本人に」とあるのは「本人の法定代理人に」とあるのは「本人」とする。

仮名加工情報取扱事業者は、第二十七条第一項及び第二項並びに第二十八条第一項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならない。この場合において、第二十七条第五項中「前各項」とあるのは「第四十一条第六項」と、同項第三号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第六項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第二十九条第一項ただし書中「第二十七同条第一項各号又は第五項各号のいずれか（前条第一項の規定による個人データの提供にあっては、第二十七条第一項各号のいずれか）」とあり、及びるのは「法令に基づく場合又は同条第五項各号のいずれか」と、第三十条第一項ただし書中「第二十七条第一項各号又は第五項各号のいずれか」とあるのは「法令に基づく場合又は第二十七条第五項各号のいずれか」とする。

仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成十四年法律第九十九号）第二条第六項に規定する一般信書便事業者若しくは同条第九項に規定する特定信書便事業者による同条第二項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。